45、入侵预防系统（IPS）的部署、管理与故障排除

入侵预防系统（IPS）的部署、管理与故障排除

1. 实际部署

完成测试阶段后，若目标是让系统处于主动阻断模式，便可进行部署；若仅想维持在入侵检测系统（IDS）状态，工作就已完成。若前期已完成策略构建和调整，通常只需将相应规则的操作改为适当操作，而非不采取任何行动。由于威胁不断演变，IPS 也始终处于发展状态，并非像非管理型交换机那样设置后就无需管理。

2. 日常 IPS 管理

• 维护攻击数据库 ：初始部署完成后，需维护 IPS 并检查事件。维护工作包括确保 SRX 上的攻击数据库与检测引擎和新功能一起得到适当更新（不一定要使用最新的更新，但要调查更新情况，避免长时间不更新）。设备更新可实现自动化。若担心新攻击被误报为阳性，可对阻断攻击的规则使用静态组，仅使用无操作参数监控新攻击，确保安全后再手动将想阻断的新攻击对象添加到静态组中，以平衡更新保护和稳定性。
• 监控 IPS 日志 ：日常可能会看到大量事件，需要合理管理警报并调查重要事件。建议使用报告工具，如 STRM，它不仅能生成报告，还能深入查看报告直至违规日志本身。通常会有多种不同报告，如蠕虫、shellcode、服务器到客户端的利用程序等，这些报告可作为调查的起点，必要时可深入挖掘以识别需要详细调查的事件。
• 分层实施 ：仅记录和报告可能无法满足所有需求，通常需要分层实施以针对不同事件提供不同功能。例如，对于某些攻击要立即阻断以保护系统基础设施；对于其他攻击，可能不想阻断，但希望在发生时得到通知，可通过日志记录和系统日志服务器上的操作（如生成电子邮件或陷阱